JPCERTコーディネーションセンター(JPCERT/CC)はこのほど、情報処理推進機構(IPA) と共同で運営する脆弱性対策情報ポータルサイト「Japan Vulnerability Notes(JVN)」において共通脆弱性評価システム「CVSS v3」による脆弱性評価を開始したと発表した。

CVSSは、脆弱性の影響と深刻度を表現する標準化された方式として、The Forum of Incident Response and Security Teams(FIRST)において策定され、多くの脆弱性アドバイザリに記載されている。今年6月に新しいバージョンとなるCVSS v3規格が発行された。

脆弱性の評価は、「基本評価基準(Base Metrics)」「現状評価基準(Temporal Metrics)」「環境評価基準(Environmental Metrics)」の基準で行われている。

v3では、攻撃の難易度を評価する項目(攻撃元区分、攻撃条件の複雑さ、必要な特権レベル、ユーザー関与レベル)と、攻撃による影響を評価する項目(機密性への影響、完全性への影響、可用性への影響)を分けて評価する手法を採用した。攻撃の難易度を評価する項目は、攻撃者がソフトウェアの脆弱性を悪用して攻撃できる対象(コンポーネント)を範囲としている。

また、基本評価基準において脆弱性の影響範囲拡大を加味するため、スコープという評価項目を導入した。「スコープ変更なし」は、脆弱性の影響がコンポーネントにとどまる場合(脆弱想定範囲=影響想定範囲)であり、「スコープ変更あり」は、脆弱性の影響がコンポーネント以外にも広がる場合となる。また、攻撃による影響を評価する項目は、直接的な影響に主眼をおいて評価する仕様に変更された。

さらに環境評価基準は、攻撃の難易度を評価する項目、攻撃による影響を評価する項目を実状に合わせて再評価するという評価手法を採用。例えば、Webサーバのプログラムに「攻撃元区分＝ネットワーク」となる脆弱性が存在した場合、実システムにおいて、サブネットワーク単位のファイアウォールによってWebサーバへのアクセスが制限されていると「攻撃元区分＝隣接」と再評価することになる。

今後JVNは、従来の評価基準であるCVSS v2とCVSS v3の両方を使い、2つの基準による脆弱性の評価を行っていくとしている。